Компания TeamUpdraft раскрыла несанкционированный доступ к своему сайту в выходные 17-18 октября 2026 года. По мнению компании, злоумышленник получил доступ к базе клиентов. В ней хранились ключи подключения для UpdraftCentral, UpdraftVault и UpdraftClone, а также учётные данные пользователей.
Описание
Публичный анализ Nethemba и сообщения пользователей показали, что атакующие применяли действительные ключи UpdraftCentral для отправки удалённых команд на подключённые сайты WordPress, как сообщает Wordfence. С помощью этих команд злоумышленник загружал, активировал и удалял вредоносные плагины. Запросы были подписаны доверенными ключами, поэтому экземпляр UpdraftPlus с исправлением для CVE-2026-10795 всё равно мог принять их за легитимные инструкции UpdraftCentral.
Не каждый сайт с UpdraftPlus оказался под угрозой. Клиент удалённого управления UpdraftCentral входит в бесплатную и премиальную версии UpdraftPlus, но он не принимает команды UpdraftCentral без ключа подключения на сайте. Наиболее уязвимы пользователи, чьи сайты были подключены к облачному сервису UpdraftCentral от TeamUpdraft. При этом в версии UpdraftPlus 1.26.11 опция добавления сайта в UpdraftCentral при подключении учётной записи TeamUpdraft выбрана по умолчанию. Поэтому подключение могло появиться даже без отдельного визита в панель управления UpdraftCentral.
Сайт может быть затронут, если на нём был установлен и активен UpdraftPlus, а ключ подключения к облачному UpdraftCentral сохранялся на момент атаки. Удаление ключа останавливает будущие команды, но не стирает активность, которая уже произошла. Компания утверждает, что сам плагин UpdraftPlus и его загружаемые пакеты не пострадали. Резервные копии, отправленные в Google Drive, Dropbox, Amazon S3 или другое стороннее хранилище, также не затронуты. Самостоятельно размещённые установки UpdraftCentral не пострадали от компрометации teamupdraft.com. Однако если сайт был доступен через UpdraftCentral, TeamUpdraft советует заново авторизовать удалённое хранилище и сменить ключи доступа.
Инцидент затронул доверие между облачным UpdraftCentral и подключёнными сайтами. Wordfence выпустила экстренное правило межсетевого экрана: оно блокирует входящие команды UpdraftCentral на уязвимых версиях UpdraftPlus. Сначала правило получили клиенты Wordfence Premium, Care и Response, затем через несколько часов - пользователи бесплатной версии. Правило не мешает обычным резервным копиям и отправке копий в сторонние хранилища. Оно временно блокирует и легитимные команды UpdraftCentral, поэтому защищённый сайт может отображаться в сервисе как недоступный до обновления.
TeamUpdraft выпустила UpdraftPlus 1.26.12 для бесплатной версии и 2.26.12 для премиальной. Эти версии автоматически отключают подключения UpdraftCentral, созданные до 21:00 UTC 18 октября 2026 года. Обновление не удаляет то, что злоумышленник мог установить раньше. Поэтому после установки новой версии нужно проверить каждый подключённый сайт. В первую очередь следует войти в панель управления WordPress напрямую, а не через UpdraftCentral, и удалить все старые ключи подключения. Компания также сообщила об инциденте в британский регулятор по защите данных.
Проверить наличие ключа можно в настройках плагина на сайте. Если отображается список существующих ключей, сайт принимал команды UpdraftCentral и должен рассматриваться как потенциально скомпрометированный. Отсутствие текущего ключа не доказывает, что вредоносная команда не приходила раньше. Если ключ удалили недавно, проверку журналов и файлов всё равно нужно продолжить. Кроме того, стоит проверить журналы UpdraftCentral, веб-сервера и PHP, а также список плагинов и пользователей. Вредоносный плагин может исполнять произвольный код с правами веб-сервера, поэтому удаления одного видимого плагина недостаточно для подтверждения чистоты сайта. Если сайт был подключён к облачному UpdraftCentral, TeamUpdraft рекомендует сменить пароль учётной записи и сбросить настройки двухфакторной аутентификации. Пароль нужно менять с заведомо чистого устройства, вводя адрес сайта вручную.
При признаках компрометации безопаснее восстановить сайт и базу данных из проверенной резервной копии, созданной до 17 октября 2026 года. После восстановления нужно сменить пароли администраторов WordPress, завершить активные сессии и обновить учётные данные хостинга, базы данных и внешних хранилищ. Если восстановление невозможно, следует привлечь специалистов по реагированию на инциденты. Wordfence Care и Wordfence Response предлагают помощь в расследовании и удалении вредоносного кода.
Индикаторы компрометации
